Zpracovatelská smlouva

1. Úvod a rozsah

Tato zpracovatelská smlouva („DPA“) je součástí Smluvních podmínek Breezaro („Smlouva“) uzavřených mezi společností Breezaro s.r.o., IČO 23465344, se sídlem Zborovská 2049/27, 616 00 Brno, Česká republika („Breezaro“ nebo „zpracovatel“), a zákazníkem, který Smlouvu přijal („zákazník“ nebo „správce“), a řídí se jí.

Uplatní se v rozsahu, v jakém Breezaro zpracovává osobní údaje jménem zákazníka při poskytování Služby (chatbot Breezaro s umělou inteligencí a související funkce). V otázkách zpracování osobních údajů má tato DPA v případě rozporu přednost před Smlouvou.

„Platnými předpisy o ochraně osobních údajů“ se rozumí nařízení (EU) 2016/679 („GDPR“) spolu s vnitrostátními předpisy, které je provádějí nebo doplňují, včetně zákona č. 110/2019 Sb. Pojmy jako „osobní údaje“, „zpracování“, „správce“, „zpracovatel“, „subjekt údajů“ a „porušení zabezpečení osobních údajů“ mají význam stanovený v GDPR.

2. Role smluvních stran

Ve vztahu k osobním údajům návštěvníků webu zákazníka a dalších koncových uživatelů, které Breezaro zpracovává prostřednictvím Služby („osobní údaje zákazníka“), vystupuje zákazník jako správce a Breezaro jako zpracovatel. Je-li zákazník sám zpracovatelem jednajícím jménem třetí strany jako správce, vystupuje Breezaro jako další zpracovatel a zákazník prohlašuje, že má souhlas této třetí strany k zapojení Breezara za těchto podmínek.

Zákazník odpovídá za stanovení právního základu zpracování, za poskytnutí veškerých informací a oznámení vyžadovaných vůči subjektům údajů (včetně vlastních zásad ochrany osobních údajů zákazníka), za správnost osobních údajů, které on nebo jeho návštěvníci poskytnou, a za zákonnost pokynů, které Breezaru udílí.

3. Předmět a pokyny ke zpracování

Breezaro zpracovává osobní údaje zákazníka pouze na základě doložených pokynů zákazníka, a to i pokud jde o předání do třetí země, ledaže je ke zpracování povinno podle práva Unie nebo členského státu, které se na Breezaro vztahuje; v takovém případě Breezaro informuje zákazníka o tomto právním požadavku před zpracováním, ledaže dané právo takové informování zakazuje z důležitých důvodů veřejného zájmu.

Smlouva, tato DPA (včetně Přílohy 1) a užívání a nastavení Služby zákazníkem představují úplné a konečné doložené pokyny zákazníka ke zpracování. Jakýkoli dodatečný nebo odlišný pokyn musí být sjednán písemně.

Breezaro bez zbytečného odkladu informuje zákazníka, má-li za to, že určitý pokyn porušuje Platné předpisy o ochraně osobních údajů.

4. Mlčenlivost

Breezaro zajišťuje, aby se osoby oprávněné zpracovávat osobní údaje zákazníka zavázaly k mlčenlivosti nebo aby se na ně vztahovala odpovídající zákonná povinnost mlčenlivosti, a aby tyto údaje zpracovávaly pouze podle pokynů zákazníka, nejsou-li povinny jednat jinak podle práva.

5. Zabezpečení zpracování

S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k rizikům pro práva a svobody subjektů údajů zavádí Breezaro vhodná technická a organizační opatření podle článku 32 GDPR. Opatření v platnosti jsou popsána v Příloze 3. Breezaro je může průběžně aktualizovat za předpokladu, že se tím nesníží celková úroveň ochrany.

6. Další zpracovatelé

Zákazník uděluje Breezaru obecné písemné povolení zapojit do zpracování další zpracovatele k provedení konkrétních činností zpracování jeho jménem. Další zpracovatelé zapojení ke dni účinnosti jsou uvedeni v Příloze 2.

Breezaro každému dalšímu zpracovateli písemnou smlouvou ukládá povinnosti v oblasti ochrany osobních údajů, které nejsou méně přísné než povinnosti stanovené v této DPA, zejména povinnost poskytnout dostatečné záruky zavedení vhodných technických a organizačních opatření. Breezaro nadále v plném rozsahu odpovídá zákazníkovi za plnění povinností každého dalšího zpracovatele.

Breezaro informuje zákazníka o každém zamýšleném přidání nebo nahrazení dalšího zpracovatele a poskytne zákazníkovi přiměřenou možnost vznést proti tomu námitku z rozumných důvodů souvisejících s ochranou osobních údajů. Vznese-li zákazník námitku a strany se nedohodnou na řešení, může zákazník jako svůj jediný prostředek nápravy ukončit tu část Služby, kterou nelze poskytovat bez daného dalšího zpracovatele.

7. Předávání do třetích zemí

Někteří další zpracovatelé uvedení v Příloze 2 jsou usazeni ve Spojených státech. Je-li takový další zpracovatel certifikován podle rámce EU–USA pro ochranu osobních údajů (Data Privacy Framework), opírá se Breezaro jako o mechanismus předání o rozhodnutí Evropské komise o odpovídající ochraně ze dne 10. července 2023 (článek 45 GDPR). Není-li další zpracovatel takto certifikován, předává Breezaro osobní údaje zákazníka na základě standardních smluvních doložek Evropské komise (článek 46 GDPR).

U předání uskutečněných na základě standardních smluvních doložek provedlo Breezaro posouzení dopadu předání (transfer impact assessment) a uplatňuje případně doplňková technická a organizační opatření, včetně šifrování údajů při přenosu i v klidu a minimalizace údajů. Mechanismus předání použitelný na jednotlivé další zpracovatele je uveden v Příloze 2 a kopii příslušných záruk poskytne Breezaro na vyžádání.

8. Součinnost při výkonu práv subjektů údajů

S přihlédnutím k povaze zpracování je Breezaro zákazníkovi nápomocno vhodnými technickými a organizačními opatřeními, je-li to možné, při plnění povinnosti zákazníka reagovat na žádosti subjektů údajů o výkon jejich práv podle kapitoly III GDPR (přístup, oprava, výmaz, omezení, přenositelnost a námitka). Samoobslužné nástroje ve Službě, včetně mazání konverzací, procesu žádosti o výmaz dat a smazání účtu, jsou hlavním prostředkem této součinnosti.

Obdrží-li Breezaro žádost přímo od subjektu údajů, která se týká osobních údajů zákazníka, předá tuto žádost bez zbytečného odkladu zákazníkovi a jinak na ni nereaguje, ledaže tak zákazník doloženě určí nebo to vyžaduje právo.

9. Porušení zabezpečení osobních údajů

Breezaro informuje zákazníka bez zbytečného odkladu poté, co se dozví o porušení zabezpečení osobních údajů týkajícím se osobních údajů zákazníka, a poskytne zákazníkovi informace, které má rozumně k dispozici, aby zákazník mohl splnit své povinnosti podle článků 33 a 34 GDPR, včetně popisu povahy porušení, jeho pravděpodobných důsledků a přijatých či navržených opatření.

10. Posouzení vlivu na ochranu osobních údajů

S přihlédnutím k povaze zpracování a informacím, které má k dispozici, poskytuje Breezaro zákazníkovi přiměřenou součinnost při provádění posouzení vlivu na ochranu osobních údajů a případně při předchozích konzultacích s příslušným dozorovým úřadem podle článků 35 a 36 GDPR.

11. Záznamy, informace a audity

Breezaro poskytuje zákazníkovi informace nezbytné k prokázání souladu s článkem 28 GDPR. Na písemnou žádost zákazníka, nejvýše jednou za dvanáct měsíců (nevyžaduje-li to dozorový úřad nebo nejde-li o situaci po porušení zabezpečení osobních údajů týkajícím se osobních údajů zákazníka), Breezaro umožní audity, včetně inspekcí, prováděné zákazníkem nebo jím pověřeným nezávislým auditorem, a přispěje k nim. Audity podléhají přiměřenému předchozímu oznámení, provádějí se v pracovní době způsobem, který nenarušuje provoz Breezara, jsou vázány mlčenlivostí a respektují bezpečnost Breezara i důvěrnost údajů ostatních zákazníků.

12. Uchování, vrácení a výmaz

Po ukončení poskytování Služby Breezaro dle volby zákazníka všechny osobní údaje zákazníka vymaže nebo vrátí a vymaže existující kopie, ledaže právo Unie nebo členského státu ukládá uchování osobních údajů.

Po dobu trvání probíhá uchovávání tak, jak je popsáno v Zásadách ochrany osobních údajů: konverzace se uchovávají po dobu, kdy je účet zákazníka aktivní; konverzace, kterou zákazník smaže ve svém rozhraní, je trvale odstraněna po konfigurovatelné době (standardně 90 dnů, nastavitelné mezi 60 a 730 dny pro každého chatbota); a cesta stránek návštěvníka se maže po 90 dnech. Zbytkové kopie mohou po omezenou dobu přetrvávat v šifrovaných zálohách, jak je popsáno v Zásadách ochrany osobních údajů, a poté jsou trvale odstraněny.

13. Odpovědnost

Odpovědnost každé ze stran vyplývající z této DPA nebo v souvislosti s ní podléhá vyloučením a omezením odpovědnosti stanoveným ve Smlouvě, včetně omezení souhrnné odpovědnosti Poskytovatele za přímé škody do výše poplatků zaplacených za předchozích dvanáct měsíců a vyloučení nepřímých a následných škod. Nic v této DPA ani ve Smlouvě neomezuje ani nevylučuje odpovědnost, kterou podle Platných předpisů o ochraně osobních údajů nelze omezit ani vyloučit.

14. Doba trvání

Tato DPA nabývá účinnosti okamžikem, kdy ji zákazník přijme nebo poprvé použije Službu, podle toho, co nastane dříve, a trvá po dobu, po kterou Breezaro zpracovává osobní údaje zákazníka jeho jménem podle Smlouvy.

15. Rozhodné právo

Tato DPA se řídí právem České republiky a případně Platnými předpisy o ochraně osobních údajů. Spory podléhají příslušnosti sjednané ve Smlouvě.

16. Kontakt

Dotazy k této DPA nebo ke zpracování osobních údajů zákazníka ze strany Breezara je možné zasílat na info@breezaro.com.

Příloha 1 – Popis zpracování

Tato příloha popisuje zpracování, které Breezaro provádí jménem zákazníka.

• Předmět: zpracování osobních údajů zákazníka prostřednictvím chatbota Breezaro s umělou inteligencí a souvisejících funkcí.
• Doba trvání: doba trvání Smlouvy spolu s dobami uchovávání a výmazu popsanými v čl. 12.
• Povaha a účel: hostování a provoz chatbota s umělou inteligencí, který odpovídá návštěvníkům webu zákazníka, vytváření a ukládání záznamů konverzací, získávání odpovědí ze znalostní báze zákazníka a poskytování operátorského rozhraní, analytiky a oznámení zákazníkovi.
• Kategorie subjektů údajů: návštěvníci webu a koncoví uživatelé zákazníka, kteří komunikují s chatbotem; osoby uvedené v obsahu, který zákazník nahraje do své znalostní báze; a vlastní operátoři a členové týmu zákazníka.
• Kategorie osobních údajů: online identifikátory (IP adresa, přibližná země, typ zařízení, prohlížeč, operační systém, jazyk, odkazující stránka a parametry kampaní); obsah chatových zpráv, který může obsahovat jakékoli osobní údaje, jež se návštěvník rozhodne poskytnout, například jméno, e-mailovou adresu, telefonní číslo nebo údaje o objednávce; identifikátory kanálů, připojí-li zákazník komunikační kanály (například jméno profilu WhatsApp); souhrny konverzací generované umělou inteligencí; cesta stránek návštěvníka; a jakékoli osobní údaje obsažené v dokumentech, které zákazník nahraje do své znalostní báze.
• Zvláštní kategorie osobních údajů: Služba není určena ke zpracování zvláštních kategorií osobních údajů. Zákazník nesmí Službu nastavit tak, aby takové údaje vyžadovala, a Breezaro je záměrně nezpracovává.

Příloha 2 – Další zpracovatelé

Ke dni účinnosti jsou zapojeni níže uvedení další zpracovatelé. Aktuální seznam je k dispozici na vyžádání a Breezaro informuje zákazníka o změnách způsobem uvedeným v čl. 6. Meta je zapojena pouze tehdy, připojí-li zákazník příslušný komunikační kanál. Další zpracovatelé usazení v Evropském hospodářském prostoru mohou osobní údaje dále předávat vlastním přidruženým subjektům nebo dalším zpracovatelům mimo EHP na základě svých vlastních záruk pro předání; mechanismus předání u každého dalšího zpracovatele usazeného mimo EHP je uveden níže.

• OpenAI (OpenAI Ireland Ltd, Irsko): generování odpovědí chatbota a přepis zvuku.
• Google (Google Ireland Limited, Irsko): generování odpovědí chatbota pomocí modelů Gemini.
• Pinecone (Pinecone Systems, Inc., USA): vektorové vyhledávání ve znalostní bázi a obsahu konverzací zákazníka. Předání do Spojených států se uskutečňuje na základě standardních smluvních doložek (článek 46 GDPR).
• Amazon Web Services (Amazon Web Services EMEA SARL, Lucembursko): ukládání nahraných souborů a podkladů.
• Resend (Plus Five Five, Inc. d/b/a Resend, USA): doručování transakčních a operátorských e-mailových oznámení. Plus Five Five je certifikována podle rámce EU–USA pro ochranu osobních údajů; předání do Spojených států se opírá o tuto certifikaci (článek 45 GDPR).
• Sentry (Functional Software, Inc. d/b/a Sentry, USA): monitorování chyb aplikace. Sentry je certifikována podle rámce EU–USA pro ochranu osobních údajů; předání do Spojených států se opírá o tuto certifikaci (článek 45 GDPR).
• Meta (Meta Platforms Ireland Limited, Irsko): doručování zpráv, připojí-li zákazník kanály WhatsApp, Facebook Messenger nebo Instagram.

Příloha 3 – Technická a organizační opatření

Breezaro udržuje níže uvedená technická a organizační opatření, která může aktualizovat za předpokladu, že se tím nesníží celková úroveň ochrany.

• Šifrování osobních údajů při přenosu pomocí TLS a šifrování dat v klidu v produkční databázi a objektovém úložišti.
• Hashování hesel účtů silným jednosměrným algoritmem a šifrování přístupových tokenů třetích stran.
• Logické oddělení více nájemců (multi-tenant), takže data každého zákazníka jsou oddělena a přístup je omezen na vlastního nájemce zákazníka.
• Řízení přístupu podle zásady nejmenších oprávnění s autentizovaným přístupem na základě rolí do operátorského rozhraní a administrativních systémů.
• Ochrana odchozích požadavků ze serveru proti SSRF (server-side request forgery) pomocí připnutého překladu DNS.
• Auditní protokolování významných administrativních a týmových akcí.
• Pravidelné zálohování se stanovenou dobou uchování a dokumentovanými postupy obnovy.
• Omezování četnosti (rate limiting) a ochrana proti zneužití u veřejných koncových bodů.
• Nástroje pro uchovávání a výmaz umožňující zákazníkovi mazat konverzace a žádat o výmaz, s automatickým odstraňováním, jak je popsáno v čl. 12.